스프링 시큐리티(JWT) 요청 관련 질문있습니다!

안녕하세요! 강의 덕분에 스프링 개발에 잘 입문하게 됐고, 지금은 혼자서 프로젝트를 만들면서 실전에 적용해보고 있습니다!

다름이 아니라, JWT로 액세스/리프레시 토큰을 이용한 인증/인가를 구현하기 위해 구글링으로 스프링 시큐리티 관련 자료를 찾아보며 구현을 해나가고 있는데요!

필터 단에서 요청을 처리할 때 관련해 선택 장애가 생긴 부분이 있어서, 비록 스프링 시큐리티 관련 강의는 아니지만 관련해서(스프링 시큐리티 강의가 아직 없기도 해서요!) 질문드려보고자 글을 작성합니다!

• 모든 게시물 조회: GET /public/api/v1/posts/

• 로그인: GET /login

위와 같은 public 컨트롤러 요청 엔드포인트 URL이 있을 때, (스프링 시큐리티 Config에서 .authorizeHttpRequests(auth.requestMatchers.permitAll()로 설정한 URL일 때)

클라이언트가 보낸 HTTP 요청에

• 유효한 액세스 토큰을 포함됐을 때

• 유효하지 않은 액세스 토큰(만료된 액세스 토큰)이 포함됐을 때

• 액세스 토큰 생략됐을 때

위 세 경우 모두 정상적으로 요청을 처리해서 비즈니스 로직 실행 결과 데이터를 응답을 내려주는 게 맞는지, 아니면 public이라도(인증이 필요 없는 요청이라도 = 로그인하지 않아도 되는 요청이라도) 일단 클라이언트가 요청에

• 유효한 액세스 토큰 포함했을 때

• 유효하지 않은 액세스 토큰(만료된 액세스 토큰) 포함했을 때

위 경우들과 같이 액세스 토큰을 실어 보냈다는 것을 '클라이언트는 명시적으로 인증을 시도했다' 또는 '토큰이 있다는 것은 인증을 위한 것이다'라고 판단해서, public 요청이라도 토큰이 유효하지 않으면 에러 응답(ex. 토큰이 만료됐습니다)을 내려주는 게 맞는지 궁금합니다!